GDPR artikkel 9 bokstav h) åpner for behandling av sensitive personopplysninger når det er nødvendig i forbindelse med arbeidsmedisin.
Behandlingen må gjelde opplysninger som er nødvendige for å vurdere en arbeidstakers arbeidskapasitet.
Behandlingen må også ha grunnlag i lov. Alternativt kan den skje i henhold til en avtale med helsepersonell, hvis virksomhet jo i stor utstrekning er regulert av ulike lover. Videre må helsepersonellet ha taushetsplikt.